CVE-2026-49467
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Pingvin Share X w wersjach od 1.5.0 do 1.18.0 zawiera podatność pozwalającą atakującemu ominąć weryfikację hasła podczas zarządzania ustawieniami TOTP (Time-based One-Time Password). Przyczyną jest brak słowa kluczowego `await` przy wywołaniach asynchronicznych metod `verifyPassword` i `authenticateUser`. W JavaScript niewyczekiwany obiekt Promise jest zawsze prawdziwy, więc logika mająca rzucić wyjątek ForbiddenException przy błędnym haśle nie wykonuje się. Podatność została naprawiona w wersji 1.18.1.
Ocena ryzyka
Ryzyko nieautoryzowanej zmiany ustawień TOTP, co może prowadzić do przejęcia konta lub obejścia uwierzytelniania dwuskładnikowego.
Rekomendacja
Zaktualizuj Pingvin Share X do wersji 1.18.1 lub nowszej. W przypadku zablokowania użytkownika administrator musi ręcznie zresetować status TOTP w bazie danych.
Oryginalny opis (angielski, źródło NVD)
Pingvin Share X is a secure and easy self-hosted file sharing platform. A vulnerability in versions 1.5.0 through 1.18.0 allow an attacker to bypass password verification when managing Time-based One-Time Password (TOTP) settings. The root cause is a missing `await` keyword on calls to the asynchronous `verifyPassword` method in `authTotp.service.ts` and the `authenticateUser` method in `auth.service.ts`. In JavaScript, an unawaited `Promise` is always truthy. So the logic intended to throw a `ForbiddenException` when a password is incorrect. It never executes because the expression evaluates the existence of the `Promise` object rather than its resolved boolean result. The vulnerability is fixed in version 1.18.1 by ensuring all asynchronous authentication calls are properly awaited. There are no official workarounds. If a user is locked out, an administrator must manually reset the user's TOTP status in the database.